Résumé
Une voix familière ne prouve plus l’identité de la personne qui parle. Quelques secondes d’enregistrement public suffisent aujourd’hui pour cloner une voix avec des outils accessibles, et les criminels s’en servent pour obtenir des virements, des mots de passe ou des accès en se faisant passer pour un dirigeant, un fournisseur ou un collègue.
L’attaque exploite la confiance, l’urgence et le manque de procédures plus que la technique. La défense est donc surtout organisationnelle. Quatre réflexes comptent plus que tout :
- Rappeler la personne sur un numéro connu et vérifié, jamais sur celui qui vient d’appeler.
- Valider à deux tout paiement inhabituel ou changement de coordonnées bancaires.
- Convenir d’un mot ou d’une question de vérification pour les personnes sensibles.
- Ne jamais donner de mot de passe ni de code à usage unique par téléphone.
Comprendre : comment une voix est clonée
Un deepfake vocal est une imitation audio produite par intelligence artificielle. Un modèle analyse les caractéristiques d’une voix (timbre, rythme, pauses, intonations) puis génère de nouvelles phrases que la personne n’a jamais prononcées. Les outils récents reproduisent aussi les hésitations et certains tics de langage.
Une attaque se déroule généralement en quatre temps :
- Collecte d’un échantillon audio, souvent public : interview, conférence, vidéo d’entreprise, réseaux sociaux, message de répondeur.
- Création d’un modèle vocal avec un service de clonage, parfois en quelques heures, sans compétence technique avancée.
- Préparation du contexte : informations sur l’organisation, noms des collègues, projets en cours, souvent trouvés sur LinkedIn ou le site de l’entreprise.
- Appel ou message vocal à la victime, avec un prétexte crédible, de l’urgence et une demande de confidentialité.
Le clonage peut se faire en différé (message vocal préparé) ou en temps réel pendant un appel. La voix n’est souvent qu’un élément parmi d’autres : faux e-mails, numéro usurpé, fausse photo de profil, ou faux interlocuteurs en visioconférence viennent la renforcer.
Scénarios d’attaque les plus fréquents
| Scénario | Cible | Demande typique | Levier psychologique |
|---|---|---|---|
| Fraude au président | Finance, comptabilité, assistante de direction | Virement urgent et confidentiel vers un compte inconnu | Autorité, secret, urgence |
| Faux fournisseur ou client | Comptabilité fournisseurs | Changement de coordonnées bancaires, paiement anticipé | Relation commerciale existante |
| Faux support informatique | Tout collaborateur | Mot de passe, code à usage unique, installation d’un outil d’accès à distance | Aide « officielle », problème de sécurité |
| Faux collègue ou responsable en difficulté | Collaborateurs, RH | Accès à un document, à un compte ou à une information sensible | Entraide, pression sociale |
| Contournement de la vérification vocale | Banques, services d’authentification par la voix | Accès à un compte ou réinitialisation d’un mot de passe | Confiance dans l’empreinte vocale |
| Visioconférence truquée | Direction financière | Autorisation d’un paiement devant plusieurs « participants » | Présence de plusieurs dirigeants à l’écran |
Les attaques sont souvent déclenchées à des moments favorables : fin de semaine, vacances, période de clôture comptable, absence du dirigeant imitée ou annoncée.
Risques pour l’entreprise
| Risque | Conséquence |
|---|---|
| Financier | Virements frauduleux rarement récupérables, car les fonds sont déplacés rapidement vers d’autres pays |
| Accès et données | Mot de passe ou code communiqué, accès à distance accordé, point d’entrée pour un rançongiciel ou une fuite de données |
| Juridique et assurance | Questions de responsabilité du salarié et de l’entreprise, couverture d’assurance cyber parfois conditionnée à l’existence de procédures de contrôle |
| Conformité | Données personnelles exposées (RGPD, nLPD) avec obligation de notification dans certains cas |
| Réputation | Perte de confiance de clients ou de partenaires, surtout si un faux message vocal est diffusé en leur nom |
| Humain | Employé trompé et culpabilisé, risque de climat de défiance si l’incident est mal géré |
Les petites et moyennes entreprises sont des cibles attractives, car elles disposent souvent de moins de niveaux d’approbation qu’un grand groupe.
Détection : pourquoi l’oreille ne suffit plus
Les clones de première génération avaient un ton robotique ou des coupures. Les outils actuels reproduisent le rythme, les pauses et certains tics de langage, et une mauvaise qualité d’appel masque facilement les défauts résiduels. Se fier à son impression (« c’était bien sa voix ») est donc un mauvais critère.
Certains indices doivent malgré tout alerter :
- une demande inhabituelle, urgente, confidentielle, hors des circuits normaux ;
- un appel depuis un numéro ou un compte de messagerie nouveau ;
- un interlocuteur qui évite les questions de contrôle ou qui coupe la conversation quand on propose de rappeler ;
- un rythme de parole monotone, des intonations qui ne collent pas à la situation, des silences ou un décalage dans les réponses ;
- une pression pour contourner la procédure habituelle.
Des outils de détection de voix synthétique existent, mais leur fiabilité varie et ils sont en course permanente avec les outils de génération. Ils complètent les procédures, ils ne les remplacent pas. La règle fiable reste de vérifier par un autre canal, quelle que soit la qualité de l’imitation.
Nous pouvons vous aider à sensibiliser vos équipes, à mettre en place une procédure de validation des paiements et à tester vos collaborateurs avec des simulations. N’hésitez pas à nous contacter pour vous aider à mettre des procédures en place pour éviter que vos données sortent de l’entreprise.